O Mac di Cisco VPN: cal dos tres está a usar realmente?
Unha entrada IPsec nativa, o Cisco VPN Client descontinuado e Secure Client reciben todos o mesmo nome. Identifique o propietario antes de aplicar correccións antigas.
Alguén lle di que o Cisco VPN está roto no seu Mac, e esa frase abrangue polo menos tres obxectos distintos. Pode significar un perfil integrado en macOS, unha aplicación dunha época anterior ou o cliente que a súa organización desprega hoxe. Cada un ten os seus propios modos de fallo, e unha corrección escrita para un adoita ser irrelevante para os outros dous.
Así que o primeiro traballo non é unha corrección. É identificación, e leva preto dun minuto se pregunta polos detalles correctos.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Unha etiqueta nativa non é un controlador Cisco instalado
Apple inclúe un tipo de VPN chamado Cisco IPsec, e é útil, pero é a implementación de Apple dunha disposición IPsec, non a antiga aplicación de terceiros nin o que o seu equipo de seguridade desprega noutros lugares. A etiqueta dinlle que panel de configuración abrir e nada sobre o soporte do provedor.
O erro inverso custa máis. Supoñer que unha entrada nativa pode substituír Secure Client omite o rexistro, a xestión de certificados, as comprobacións de postura e a política que agarda a pasarela. Un perfil enviado pola organización non equivale a unha conexión escrita a man, aínda que ambas acaben establecendo un túnel IPsec. Esa diferenza é invisible no panel de axustes e obvia nos rexistros da propia pasarela.
Pregunte ao propietario da pasarela tres cousas: o cliente de Mac que admite, o nome exacto do perfil e a versión mínima do cliente. Engada a versión de macOS que executa o usuario. Un nome de host de servidor por si só non describe nada diso, e por iso os tíckets que só conteñen un nome de host adoitan volver.
Os consellos antigos sobre o núcleo pertencen á súa propia década
Os resultados de busca sobre problemas de VPN no Mac están cheos de instrucións para manter teclas premidas durante o arranque, arrincar noutra arquitectura de núcleo ou executar un asistente anterior ás proteccións actuais de integridade do sistema. Eses pasos veñen de combinacións antigas concretas de hardware Mac e compilacións do cliente. Repetilos agora non é unha migración, e nunha versión actual algúns non se poden executar en absoluto.
Hai un límite relacionado que paga a pena coñecer, porque se cita no contexto equivocado. Apple documenta que as aplicacións de 32 bits deixaron de ser compatibles con macOS a partir de Catalina 10.15, así que un cliente tan antigo simplemente non pode executarse alí, independentemente dos controladores ou dos permisos. É un corte de compatibilidade de aplicacións, non un problema de modo núcleo, e mesturar as dúas explicacións produce consellos que non axudan a ninguén.
Se só queda dispoñible un cliente obsoleto, trate o seu perfil como material de migración sensible e pida o substituto aprobado. Non desactive as proteccións do sistema, non instale un controlador sen sinatura nin cambie o nome dun ficheiro coa extensión .pcf esperando que un cliente moderno o importe: un PCF pertence ao formato do cliente antigo, Secure Client usa o seu propio mecanismo de perfís, e os dous non son intercambiables por extensión.
Separe o cliente da rede
Cando o cliente admitido xa está instalado e funciona en xeral, a pregunta interesante cambia. Falla en todas partes ou só nunha rede de acceso? Un cliente que conecta desde unha conexión doméstica e falla nun hotel describe accesibilidade, non arquitectura, e reinstalar a aplicación non cambiará o filtrado do hotel. Probe o mesmo portátil nunha rede de confianza antes de tocar a instalación.
Capture o fallo antes de cambiar nada. O rexistro do propio cliente adoita nomear a fase que fallou: selección de perfil, autenticación, establecemento do túnel ou política. Compáreo cun intento correcto desde outra rede na mesma máquina, porque a variable que proba é a rede, e o cliente é a constante.
Anote a resposta para o seguinte tícket
Cando saiba con cal dos tres trata, anóteo no tícket coa versión instalada e a versión de macOS. Esa única liña evita que o seguinte enxeñeiro comece de cero e fai posible unha escalada ao provedor sen unha segunda rolda de preguntas.
Despois comprobe o único que o usuario realmente necesita: se o cliente actual pode chegar ao recurso, e non só se o indicador do túnel se puxo verde. Para o límite de compatibilidade que aparece continuamente nestes fíos, a nota de Apple sobre o fin do soporte de aplicacións de 32 bits con macOS Catalina é a referencia que paga a pena citar en lugar do folclore.